Una reciente investigación reveló que un servidor mal configurado expuso los detalles de al menos tres sofisticadas operaciones de phishing que tuvieron como objetivo principal a organizaciones usuarias de Microsoft 365. Estos ataques, que operaron de forma encubierta por más de un año, lograron vulnerar buzones corporativos mediante la evasión de la autenticación multifactor (MFA).
El fallo en la configuración del servidor, que dejó un listado de directorios abierto al público, permitió a una firma de seguridad francesa acceder al kit de herramientas completo de los operadores. Se identificaron dos métodos principales utilizados para sortear la MFA. El primero implicaba el uso de un proxy Evilginx del tipo “adversario en el medio” (AiTM), que intercepta las sesiones de inicio de sesión en tiempo real. Esta técnica permite a los atacantes robar tokens de sesión válidos que pueden ser reutilizados durante meses, incluso después de un cambio de contraseña, si no se implementan políticas de Evaluación Continua de Acceso (CAE) capaces.
El segundo método, aún más sigiloso, abusó del flujo de código de dispositivo OAuth legítimo de Microsoft, diseñado para dispositivos con entrada limitada. Los atacantes presentaban una página de señuelo con temática de Microsoft Authenticator, incitando a la víctima a introducir un código de dispositivo real en el sitio genuino microsoft.com/devicelogin. Al completar la autenticación y la MFA en la infraestructura legítima de Microsoft, la víctima autorizaba indirectamente la sesión del atacante, haciendo ineficaces incluso claves FIDO2 o passkeys, ya que el origen de la autenticación era el propio Microsoft. La barrera para montar estas campañas se ha reducido significativamente gracias al uso de herramientas disponibles públicamente y asistencia de inteligencia artificial para personalizar los ataques.
Para defenderse de estos sofisticados ataques, las organizaciones deben adoptar medidas específicas. Contra el phishing AiTM, es crucial implementar MFA resistente al phishing, como FIDO2 o passkeys, que vinculan el inicio de sesión al dominio real, invalidando la intercepción por proxy. Sin embargo, esto no detiene el abuso del flujo de código de dispositivo. Para este último, la mitigación clave reside en las políticas de Acceso Condicional de Microsoft Entra, bloqueando el flujo de código de dispositivo en todos los lugares donde no sea estrictamente necesario (por ejemplo, dispositivos de salas de Teams o herramientas de línea de comandos específicas). Se recomienda un inventario detallado de su uso y pruebas exhaustivas en modo “solo informe” antes de la aplicación general.
Adicionalmente, se deben configurar políticas de Acceso Condicional basadas en ubicación IP y la Evaluación Continua de Acceso (CAE) para que, en cargas de trabajo de Microsoft 365 compatibles, un token robado detectado desde rangos de IP no autorizados sea reevaluado de inmediato. Es vital monitorear los registros de inicio de sesión de Entra por concesiones de tokens de actualización desde la ID de cliente de Microsoft Office (d3590ed6-52b3-4102-aeff-aad2292ab01c), especialmente si se originan de IPs desconocidas o si el campo Original transfer method indica un flujo de código de dispositivo. En los endpoints, se debe buscar activamente la presencia de herramientas de administración remota (RMM) como XEOX, que los operadores suelen instalar para asegurar la persistencia.
Qué significa para tu empresa: La sofisticación de estos ataques de phishing, capaces de evadir incluso la autenticación multifactor, subraya la necesidad crítica de implementar una estrategia robusta de identidad y MFA para su organización. Es fundamental ir más allá de las soluciones básicas y asegurar que se implementan controles de acceso condicional y se monitorean activamente las sesiones de usuario para identificar y responder rápidamente a cualquier anomalía o intento de compromiso.
Fuente original: The Hacker News — ver artículo →